Para: cualquier persona que haya reservado un hotel o ryokan en Japón (también a través de un sitio de reservas de viajes) y cualquiera que gestione un negocio de alojamiento. Este artículo se basa en el aviso oficial de Temairazu, Inc. y en avisos de hoteles que usan su sistema, y no describe técnicas de ataque ni de estafa.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 11 de octubre de 2026Aún no se sabe
- Número final de personas y hoteles
- Periodo y rango de reservas afectadas (según la empresa)
- Cómo se produjo la intrusión
- Resultados de la investigación externa
Temairazu, Inc. enumeró los datos que podrían haberse obtenido en su segundo informe del 7 de octubre (versión en inglés del 8 de octubre) e indicó el número de personas implicadas, hasta unos 4,45 millones, en una comunicación de información relevante del 9 de octubre. Una empresa externa de seguridad sigue verificando la causa y el alcance, y la empresa afirma que anunciará con rapidez cualquier hecho relevante nuevo.
Lo que deben hacer hoy los huéspedes
Saber si podría verse afectado (incluidas las reservas a través de webs de viajes)
La empresa no ha anunciado qué periodo o rango de reservas está afectado. Lo que se sabe es un límite máximo de hasta unos 4,45 millones de personas (comunicación de información relevante del 9 de octubre). Esto incluye no solo a quienes reservaron directamente con el hotel, sino posiblemente también a quienes reservaron a través de un sitio de viajes (el motivo se explica más adelante).
El aviso de un hotel (Hotel Grand Hill Ichigaya) indica que se observaron mensajes falsos de WhatsApp en algunas reservas que cumplen las tres condiciones siguientes: realizadas hasta el 21 de septiembre de 2026, con estancia a partir del 21 de septiembre y con un huésped que usa WhatsApp. Esas son las condiciones en las que se vieron mensajes falsos, no el rango de reservas cuyos datos podrían haberse obtenido. No cumplirlas no significa que esté a salvo.
Varios hoteles que usan el sistema han publicado sus propios avisos en sus webs, así que consulte la web oficial de su hotel. Sin embargo, la ausencia de un aviso no es prueba de seguridad. Trate cada mensaje que diga proceder de un hotel con los pasos siguientes.
No abra enlaces del mensaje y no responda
Los mensajes que la empresa confirmó se hacen pasar por hoteles o sitios de reservas y, con pretextos como confirmar una reserva, el registro de entrada anticipado o mantener una reserva válida, llevan a los destinatarios a sitios web externos para introducir datos de tarjeta o pagar. También presionan para actuar con urgencia. Según el primer aviso de la empresa, llegaron por aplicaciones de mensajería como WhatsApp, por correo electrónico, por SMS y por otros medios. La empresa pide la misma precaución si un mensaje llega por WeChat u otra aplicación de mensajería.
La empresa da cuatro consejos:
- No abra URL ni enlaces
- No responda
- No introduzca datos de tarjeta ni datos personales
- No realice ningún pago
Compruebe a través de la aplicación oficial del sitio de reservas o del teléfono oficial del hotel
Para comprobar su reserva, no use los enlaces ni los números de teléfono del mensaje. Use un canal oficial que abra usted mismo.
- Si reservó a través de un sitio de viajes: abra su reserva desde la aplicación de su pantalla de inicio (o desde la web oficial que guardó en sus marcadores) y revise el método de pago y el estado
- Si reservó directamente: busque la web oficial del hotel y llame usted mismo al teléfono que aparece allí
Si le piden un pago que no figura en la confirmación de su reserva, eso basta para negarse. Cómo juzgar estos mensajes se explica con detalle en la filtración de datos de reservas de Booking.com.
Si introdujo datos o pagó, contacte de inmediato con su entidad emisora de la tarjeta
La empresa dice que, si introdujo datos de tarjeta de crédito u otros datos en un sitio sospechoso, debe contactar con su entidad emisora de inmediato. Pida que se bloquee y reemita la tarjeta, y revise sus extractos por si hay cargos que no reconoce.
En Japón también puede llamar a la línea de consulta de la policía (#9110) o a la línea directa del consumidor (188). Si introdujo la contraseña de su cuenta del sitio de reservas, cámbiela y active la verificación en dos pasos (vea Cómo elegir la autenticación multifactor).
Avise a las personas que viajan con usted (también han aparecido mensajes en japonés)
Informe no solo a quien hizo la reserva, sino también a los familiares que se alojan con usted y a los acompañantes que llegan desde el extranjero. Según el aviso de un hotel, el 5 de octubre se confirmaron mensajes fraudulentos en japonés, no solo en inglés.
No dé por hecho que un mensaje en inglés torpe es el único tipo que puede llegar. Sea cual sea el idioma o la aplicación, compruebe de la misma manera.
Qué ocurrió (según el aviso de Temairazu, Inc.)
Temairazu, Inc. publicó su primer aviso el 28 de septiembre de 2026 (versión en inglés del 29 de septiembre) y su segundo informe el 7 de octubre (versión en inglés del 8 de octubre), seguido de una comunicación de información relevante para accionistas e inversores el 9 de octubre. De las fechas siguientes, el 26 de septiembre y las condiciones de las reservas en las que se observaron mensajes falsos proceden de avisos publicados por hoteles que usan el sistema.
Desde la noche del lunes 21 de septiembre de 2026
Varios hoteles contactaron con la empresa para decir que sus huéspedes recibían mensajes sospechosos. Durante la investigación, la empresa confirmó el acceso no autorizado a su sistema.Jue 24 de septiembre
Para contener el daño e investigar, parte de las funciones del sistema se suspendió a las 10:58 aproximadamente y se reanudó a las 21:48 aproximadamente del mismo día (comunicación del 9 de octubre). La empresa afirma que no se detuvo el motor principal que vincula reservas, inventario y tarifas.Sáb 26 de septiembre
Según los avisos de los hoteles, se identificó la causa y se completó la corrección.28 de septiembre
La empresa publicó su aviso. Dijo que estaba adoptando los pasos necesarios, incluida la notificación a la Comisión de Protección de Información Personal, y que había contactado con la policía.29 de septiembre
Se publicó la versión en inglés del aviso.5 de octubre
Según el aviso de un hotel, se confirmaron mensajes fraudulentos en japonés, no solo en inglés.7 de octubre
La empresa publicó su segundo informe (versión en inglés del 8 de octubre), en el que enumeró como información que podría haber sido obtenida los nombres, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada y salida y cargos.9 de octubre
En una comunicación de información relevante, la empresa situó el número de personas implicadas en hasta unos 4,45 millones, dijo que había encargado a una empresa externa de seguridad y que el efecto en sus resultados aún no puede estimarse de forma razonable.
- Sistema
- TEMAIRAZU Series, un sistema de gestión de reservas para alojamientos
- Qué ocurrió
- Acceso no autorizado al sistema de la empresa. Parte de la información de los huéspedes podría haber sido vista u obtenida por un tercero (aviso de la empresa)
- Personas implicadas
- Hasta unos 4,45 millones (comunicación de información relevante del 9 de octubre). No se ha anunciado el número de hoteles
- Datos que podrían haberse obtenido
- Nombres de huéspedes, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada, fechas de salida y cargos de alojamiento (segundo informe). La comunicación del 9 de octubre los enumera con "como" e "incluido"
- Mensajes falsos
- Se hacen pasar por hoteles o sitios de reserva y, con pretextos como el registro de entrada anticipado o mantener una reserva válida, llevan a sitios externos que piden datos de tarjeta o un pago. La empresa los describe como confirmados en relación con este incidente y dice que parecen estafas de phishing
- Información que la empresa no conserva
- Datos de tarjetas de crédito y credenciales de acceso a los sitios de reserva (aviso de la empresa)
- Causa
- La empresa dice que identificó y corrigió la causa y que no revelará el método. Según los avisos de los hoteles, un problema de seguridad en parte de las funciones de un producto instalado que la empresa proporcionó en el pasado
- Fecha de la intrusión
- Según el aviso de un hotel, la empresa informó de que el acceso no autorizado confirmado hasta ahora se limita al acceso producido el 21 de septiembre de 2026, y que no se ha confirmado ningún acceso similar en otro momento
- Respuesta
- Acceso bloqueado; control de accesos y supervisión reforzados. Parte de las funciones se suspendió durante unas 11 horas el 24 de septiembre y se reanudó el mismo día; el sistema funciona con normalidad (aviso de la empresa)
- Notificación e investigación
- Notificado a la Comisión de Protección de Información Personal y consultada la policía. Se ha encargado a una empresa externa de seguridad que verifique la causa y el alcance; la investigación continúa (comunicación del 9 de octubre)
- Contacto
- Mesa de ayuda de emergencia de la empresa (helpdesk@temairazu.com, según figura en su aviso oficial)
Qué se sabe y qué no
Situación a fecha del 11 de octubre de 2026 (hasta la comunicación de información relevante del 9 de octubre). Esta tabla se actualizará cuando la empresa publique más información.
| Asunto | Lo anunciado | Estado |
|---|---|---|
| Acceso no autorizado | Confirmado en el sistema de la empresa | Confirmado |
| Si se obtuvieron datos de huéspedes | Podrían haber sido vistos u obtenidos | Posible |
| Datos que podrían haberse obtenido | Nombres, números de teléfono, direcciones de correo electrónico, nombres de los establecimientos, fechas de entrada y salida, cargos (segundo informe; la comunicación del 9 de octubre dice "incluido") | Anunciado |
| Datos de tarjetas y accesos a sitios de reserva | La empresa no los conserva | Confirmado |
| Periodo y rango de reservas afectadas | No indicado por la empresa (solo el límite máximo de personas) | No anunciado |
| Reservas en las que se vieron mensajes falsos | Algunas reservas que cumplen todas estas condiciones: realizadas hasta el 21 de septiembre, estancia a partir del 21 de septiembre, huésped que usa WhatsApp (aviso de un hotel) | Según avisos de hoteles |
| Fecha de la intrusión | El acceso confirmado hasta ahora se limita al 21 de septiembre (aviso de un hotel, citando a la empresa) | Según avisos de hoteles |
| Personas implicadas | Hasta unos 4,45 millones (comunicación del 9 de octubre) | Límite máximo anunciado |
| Número de hoteles, cifra final | No anunciado | En investigación |
| Relación con los mensajes falsos | La empresa los describe como confirmados en relación con este incidente y como phishing aparente | Relación descrita por la empresa |
| Causa | Identificada y corregida; método no revelado; parte de un producto instalado antiguo (avisos de hoteles) | Parcialmente revelada |
| Notificación a las autoridades | Notificado a la PPC; consultada la policía | Hecho |
| Investigación externa | Encargada a una empresa de seguridad | En investigación |
| Efecto en resultados | Aún no puede estimarse de forma razonable | No determinado |
Por qué reservar a través de un sitio de viajes no descarta que le afecte
La mayoría de hoteles y ryokan de Japón publican sus habitaciones en varios sitios de reserva de viajes (OTA, agencias de viajes en línea) y en su propia web al mismo tiempo. Cuando una habitación se vende en un sitio, la disponibilidad en todos los demás debe reducirse, o la misma habitación se vendería dos veces.
El sistema que hace esto automáticamente se llama channel manager (en Japón, "controlador de sitios"). TEMAIRAZU es uno de ellos; la empresa lo ofrece como sistema de gestión de reservas para alojamientos.
Sitio de reservas A
El huésped reserva en la app
Sitio de reservas B
El huésped reserva en la web
Web propia del hotel
Reserva directa
↓ reservas, disponibilidad y tarifas transmitidas juntas
Channel manager (TEMAIRAZU)
Los datos de reservas de varios hoteles se concentran en un sistema → acceso no autorizado confirmado aquí
↓
Pantalla de administración de cada hotel
Gestiona datos de contacto de huéspedes, fechas de estancia y números de reserva
Por tanto, aunque el sitio de reservas en sí no tenga ningún problema, los datos de reserva pueden obtenerse del sistema de gestión que usa el hotel. No haber recibido noticias de su sitio de reservas no es prueba de seguridad.
Para qué pueden usarse los nombres, datos de contacto y fechas de estancia
Los datos anunciados combinan datos de contacto (nombre, número de teléfono, correo electrónico) con datos de la reserva (nombre del establecimiento, fechas de entrada y salida, cargos). En general, esta combinación es un buen material para estafas porque:
- Un nombre de hotel, una fecha y un precio correctos hacen que un mensaje parezca venir realmente del hotel o del sitio de reservas
- Cuando la estancia está cerca, "pague ahora o su reserva será cancelada" o "se requiere registro de entrada anticipado" generan presión
- Con un número de teléfono y una dirección de correo electrónico, un estafador puede contactarle por SMS, correo electrónico o una aplicación de mensajería vinculada a ese número, haciéndose pasar por el hotel
Como se incluyen las fechas de salida, también pueden llegar mensajes sobre un "reembolso" o "liquidación de cargos adicionales" después de la estancia. Compruébelos de la misma forma.
Lo que destaca aquí: los mensajes falsos llegaron antes del anuncio
Según la empresa, los hoteles empezaron a informar de mensajes sospechosos desde la noche del 21 de septiembre, y el anuncio llegó el 28 de septiembre. Los mensajes recibidos antes del anuncio también requieren la misma precaución.
Si introdujo datos de tarjeta en respuesta a un mensaje que decía ser de un hotel a finales de septiembre o después, contacte ahora con su entidad emisora, aunque haya pasado algún tiempo.
Opinión de este sitio: juzgue por cómo se solicita el pago, no por si el nombre del hotel es correcto
En las reservas de hotel, el método de pago casi nunca cambia después de reservar. Las condiciones de pago figuran en su confirmación de reserva.
Por muy exacto que sea un mensaje al describir su reserva, si pide un pago que no aparece en la confirmación o que vuelva a introducir datos de tarjeta, eso basta para negarse. Esta regla sirve igual con cualquier aplicación o idioma en que llegue el mensaje.
Para quienes gestionan un negocio de alojamiento
Lo que la empresa ha pedido a los hoteles
Cambiar la contraseña de acceso a TEMAIRAZU
Como medida de precaución, la empresa ha pedido a los hoteles que cambien su contraseña de acceso a TEMAIRAZU. Si usa la misma contraseña en otras pantallas de administración (paneles de sitios de reserva, correo electrónico, etc.), cámbiela también allí.
Revisar la pantalla de administración por si hay accesos o cambios que no reconoce
La empresa pide a los hoteles que se pongan en contacto de inmediato si encuentran accesos que no reconocen o cambios no deseados en los datos registrados en la pantalla de administración.
Ha pedido a los sitios de reserva y a los socios conectados que comprueben si hay accesos no reconocidos, cambios no deseados en cuentas o permisos, cambios no deseados en cuentas bancarias de pago u otros datos registrados, y mensajes o registros de actividad sospechosos. Revisar estos mismos cuatro puntos en los paneles de los sitios de reserva que usa su alojamiento también es una medida prudente.
Dar a los huéspedes siempre la misma respuesta
La empresa pide a los hoteles que digan a los huéspedes que pregunten que no abran URL en los mensajes y que no introduzcan datos personales ni de tarjeta.
Para que las respuestas de recepción y del centro de llamadas no varíen, acuerden una frase, como "Nunca le pediremos que vuelva a introducir datos de tarjeta ni que pague a través de un mensaje", junto con los datos de contacto correctos. Avisar con antelación a los huéspedes que van a llegar, por ejemplo a través de la función de mensajería del sitio de reservas, reduce el daño.
Qué preguntar a Temairazu, Inc.
El aviso de la empresa no indica qué reservas de qué hoteles están incluidas. Para explicar la situación a los huéspedes y decidir qué pasos legales dar, pregunte a la empresa:
- Si las reservas de su alojamiento están incluidas y, en ese caso, el periodo y el número
- Qué datos anunciados se aplican realmente a las reservas de su alojamiento
- Si su alojamiento llegó a usar el producto instalado antiguo, y si ese software o sus ajustes de conexión siguen existiendo
- Hasta dónde ha informado la empresa a la Comisión de Protección de Información Personal, y si su alojamiento también debe informar o notificar a los huéspedes
Notificación a la Comisión de Protección de Información Personal y aviso a los huéspedes
Según la Comisión de Protección de Información Personal de Japón (PPC), una filtración que pueda haberse producido con mala intención, como un acceso no autorizado, debe notificarse con independencia del número de personas. Los plazos son:
- Informe preliminar: en cuanto se tenga conocimiento (aproximadamente en un plazo de 3 a 5 días)
- Informe final: en un plazo de 60 días (cuando se sospecha mala intención; en otro caso, 30 días)
- Aviso a las personas afectadas: sin demora, según lo permita la situación. Cuando eso sea difícil, se aceptan alternativas como publicar el incidente y crear un servicio de consultas
Según las directrices de la PPC, si un proveedor de servicios encargado notifica a la empresa que le encargó los datos, el proveedor queda exento de informar y es la empresa encargante quien informa. Si informa el hotel o el proveedor del sistema, y si su alojamiento está incluido, depende del contrato y de los hechos. Base la decisión en las respuestas a las preguntas anteriores y consulte a la PPC si tiene dudas.
La comprobación específica de este incidente: productos antiguos y conexiones que siguen activas
Según los avisos de los hoteles, la causa fue parte de un producto instalado que la empresa proporcionó en el pasado. No se ha revelado en qué función estaba el problema, pero cualquier alojamiento puede tener software antiguo que cree que ya no usa, o ajustes de conexión para él, todavía activos.
- Enumere todos los sistemas que gestionan reservas o datos de huéspedes y anote para cada uno: versión actual, quién lo gestiona y si quedan versiones antiguas o integraciones
- Desinstale los productos antiguos que ya no use, tras consultarlo con el proveedor, y cierre las cuentas y conexiones relacionadas
- Active la autenticación multifactor para los accesos de administración si está disponible, y sustituya los identificadores compartidos por identificadores individuales (así el historial de accesos muestra quién hizo cada cosa)
La otra lección es la detección. En este caso, el problema salió a la luz primero cuando los huéspedes preguntaron a los hoteles por mensajes extraños. Decida de antemano que un aviso de un huésped sobre "un mensaje sospechoso que dice ser de su hotel" no es solo una queja individual y que debe remitirse de inmediato al proveedor del sistema.
Para otro caso en el que se filtraron datos de huéspedes de un hotel, vea la filtración de Quest Apartment Hotels en Australia; para saber cómo pueden responder los clientes cuando se produce un acceso no autorizado al sistema de un proveedor, vea Cuando su proveedor de alojamiento web sufre una filtración.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. Los datos, cifras y métodos de intrusión que no se han anunciado no se suponen.
- Temairazu, Inc., aviso de disculpas sobre mensajes sospechosos y acceso no autorizado a su sistema (28 de septiembre de 2026, japonés) — temairazu.co.jp
- Temairazu, Inc., "Notice and Apology Regarding Suspicious Messages and Unauthorized Access to TEMAIRAZU" (29 de septiembre de 2026, inglés) — temairazu.co.jp
- Temairazu, Inc., segundo informe sobre el acceso no autorizado (7 de octubre de 2026, japonés) — temairazu.co.jp
- Temairazu, Inc., "Update on Unauthorized Access to Our Systems and Our Response (Second Report)" (8 de octubre de 2026, inglés) — temairazu.co.jp
- Temairazu, Inc., comunicación de información relevante sobre el estado de la investigación del acceso no autorizado a su sistema y su respuesta (9 de octubre de 2026, japonés) — temairazu.co.jp
- Ejemplo de aviso de un hotel (causa, corrección del 26 de septiembre, fecha de la intrusión, condiciones de las reservas en las que se vieron mensajes falsos): Hotel Grand Hill Ichigaya (29 de septiembre de 2026, japonés) — ghi.gr.jp
- Ejemplo de aviso de un hotel (mensajes fraudulentos en japonés del 5 de octubre): Super Hotel (actualizado el 5 de octubre, japonés) — superhotel.co.jp
- Comisión de Protección de Información Personal, "Responding to leaks and useful materials" (japonés) — ppc.go.jp
- Comisión de Protección de Información Personal, Directrices de la Ley de Protección de la Información Personal (Reglas generales), sección 3-5 sobre informes de filtraciones y notificación a las personas (japonés) — ppc.go.jp
Historial de actualizaciones
2026-10-22: En "Lectura siguiente", se describió la cifra de Commune de 166.505 como contada por comunidad.
2026-10-11: Se revisaron los hechos frente a los avisos oficiales. Las condiciones del aviso de un hotel (realizadas hasta el 21 de septiembre, estancia a partir del 21 de septiembre, huésped que usa WhatsApp) describen las reservas en las que se observaron mensajes falsos, no el alcance de la filtración, por lo que se corrigió el texto (la empresa no ha anunciado el alcance). Se añadió que el acceso no autorizado confirmado se limita al 21 de septiembre (aviso de un hotel). Se alinearon los canales de mensaje con el primer aviso (aplicaciones de mensajería como WhatsApp, correo electrónico, SMS y otros).
2026-10-10: Se incorporó la comunicación de información relevante de la empresa del 9 de octubre: hasta unos 4,45 millones de personas implicadas, la suspensión parcial y reanudación el mismo día del 24 de septiembre, la empresa externa de seguridad encargada de la investigación y el efecto en los resultados (aún no estimable), en el título, el cuerpo y la tabla. El número de hoteles y el método de intrusión siguen sin revelarse.
2026-10-09: Se incorporó el segundo informe de la empresa (7 de octubre; versión en inglés del 8 de octubre): los siete datos que podrían haberse obtenido, la información que la empresa no conserva (accesos a sitios de reserva) y los pretextos usados en los mensajes falsos (registro de entrada anticipado, mantener una reserva válida). Las cifras y el método de intrusión siguen sin revelarse.
2026-10-07: Se revisó el aviso oficial (sin novedades). Se añadieron la tabla "Qué se sabe y qué no", los mensajes fraudulentos en japonés del 5 de octubre y los pasos de notificación e información de los hoteles. Como la empresa no ha anunciado qué datos se filtraron, la descripción de los datos se ajustó a lo que dice su aviso.
2026-10-03: Primera versión, basada en los avisos de Temairazu, Inc. del 28 de septiembre (japonés) y del 29 de septiembre (inglés) y en avisos de hoteles que usan el sistema.
Lectura siguiente
- El mismo patrón de estafa: La filtración de datos de reservas de Booking.com / ¿Qué es el phishing?
- Otro caso de alojamiento: Quest Apartment Hotels (Australia, números de tarjeta y pasaporte)
- Un caso de sitio de reservas de viajes: la filtración de skyticket (Adventure Inc.) (reservas y contraseñas)
- Cuando un proveedor sufre una filtración: Cuando su proveedor de alojamiento web sufre una filtración
- Datos de contacto filtrados a través de un proveedor: Filtración de direcciones de correo de JR East, VIEW Card y JR Kyushu
- Datos de miembros de muchas empresas filtrados a través de un proveedor: Acceso no autorizado a Commune (166.505 miembros de comunidades, contados por comunidad)
- Proteger sus cuentas: Cómo elegir la autenticación multifactor / Cómo elegir un gestor de contraseñas
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y el mundo)